Un agent nord-coréen a infiltré MetaMask : accès au code source avant d’être démasqué

Consensys, la société blockchain à l'origine du portefeuille crypto MetaMask, a confirmé aujourd'hui une grave brèche de sécurité : un développeur lié à la Corée du Nord a eu accès au code source du portefeuille avant d'être licencié au bout d'un mois. Des messages internes sur Slack ont révélé que l'agent a travaillé sur le code pendant environ un mois avant d'être démasqué, bien que Consensys assure qu'aucun dommage n'a été causé. Cette infiltration soulève des doutes sérieux sur la capacité de MetaMask à garantir la sécurité des fonds des utilisateurs, un signal d'alarme pour les investisseurs crypto dans un contexte de confiance déjà fragile.

Un développeur nord-coréen a passé un mois à l'intérieur de MetaMask

D'après le rapport, l'ingénieur logiciel nord-coréen travaillait sous le pseudonyme de « Tyler Knapp » et utilisait le compte GitHub « imyugioh ». Il avait été embauché comme consultant par l'intermédiaire d'un prestataire de services tiers entretenant une relation de longue date avec Consensys. Consensys a confirmé que l'ingénieur logiciel n'avait pas été recruté directement par son service de recrutement interne, et a insisté sur le fait que l'agence de recrutement tierce pourrait être responsable du dysfonctionnement du processus de sélection. 

L'analyse des messages internes Slack révèle que Tyler Knapp a travaillé sur le code source de la plateforme MetaMask. Il avait accès au code source principal de MetaMask qui convertit les cryptomonnaies en monnaie fiduciaire via des prestataires de paiement tiers et inversement. Tyler a également contribué au code source du portefeuille mobile MetaMask sur GitHub.

Ces contributions ont commencé le 9 mars et se sont arrêtées brutalement en avril, le même mois où Consensys lui a coupé l'accès, ce qui signifie que l'agent a eu environ un mois d'activité au sein des systèmes de l'entreprise.

Matt Corva, conseiller juridique de Consensys, a révélé que l'entreprise avait rapidement découvert la menace après l'embauche de Tyler. Conformément à ses protocoles de sécurité, l'accès a été immédiatement bloqué dès l'dentde la menace. Il a précisé qu'une enquête ultérieure n'avait révélé aucun détournement d'actifs ou de données, aucun code malveillant déployé en production et aucun impact sur la sécurité des utilisateurs.

En avril, Corva a diffusé une alerte à l'ensemble de l'entreprise, ordonnant la suspension de toutes les mises sur le marché de produits le temps de l'enquête et demandant au personnel de ne pas interagir avec la personne concernée. Il a également demandé aux employés de garder l'affaire confidentielle pendant la durée de l'enquête, une requête qui laisse penser que Consensys cherchait à contrôler le récit bien avant que l'affaire ne soit rendue publique cette semaine.

Les cryptomonnaies restent une cible privilégiée de Pyongyang

Des agents nord-coréens se faisant passer pour des ingénieurs informatiques travaillant à distance ont décroché à plusieurs reprises de véritables emplois dans des entreprises américaines. Ces dernières y parviennent grâce à des intermédiaires basés aux États-Unis qui gèrent des fermes d'ordinateurs portables permettant de faire croire que le travailleur se connecte depuis le territoire américain.

Une femme de l'Arizona a été condamnée l'an dernier pour avoir dirigé une telle opération, qui, selon les procureurs, a généré plus de 17 millions de dollars pour des entités liées à la Corée du Nord, d'après un article du Guardian.

Plus tôt cette année, deux autres ressortissants américains ont été condamnés pour avoir facilité des stratagèmes similaires qui, selon le ministère de la Justice, ont touché près de 70 entreprises américaines.

Les entreprises de cryptomonnaies constituent une cible particulièrementtrac, car l'accès ordinaire d'un développeur peut s'étendre bien au-delà du code source, jusqu'à l'infrastructure de signature des transactions, la couche où les fonds volés transitent réellement. 

La société d'analyse de la blockchain TRM Labs estime que des acteurs liés à la Corée du Nord sont responsables d'environ deux tiers des cryptomonnaies volées lors de piratages informatiques l'année dernière, un chiffre qui inclut le vol de 1,5 milliard de dollars de Bybit largement attribué à Pyongyang.

Si vous lisez ceci, vous avez déjà une longueur d'avance. Restez-y grâce à notre newsletter.